VBR Rootkit (Mayachok.2) вернулся - Страница 2 - Современные угрозы и защита от них - Форумы Anti-Malware.ru Перейти к содержанию
K_Mikhail

VBR Rootkit (Mayachok.2) вернулся

Автор K_Mikhail, в Современные угрозы и защита от них

Recommended Posts

Dmitriy K    603

Dmitriy K
Опубликовано

Небольшой рескан. Доктор стал определять. На комода внимания не обращаем - детектит по хэшу.

https://www.virustotal.com/file/8ccddae1086...sis/1329156487/

https://www.virustotal.com/file/2ecdfa1e211...sis/1329156483/

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

K_Mikhail    807

K_Mikhail
Опубликовано
Попробовал, понравилось. :) Раньше не пользовался. Спасибо.

K_Mikhail, повторил заражение на 3-х снимках виртуалки. У меня тоже третий не перезагрузил машину :)

Потому как, как выясняется, третий семпл - отличная от первых двух семплов версия.

Если между первыми двумя дампами VBR разница невелика:

1_2.PNG

то между дампами VBR первого и третьего (который не перегружает машину) разница более заметна:

1_3.PNG

И вот как раз дамп этого самого третьего оказался вне поля зрения добавленной сегодня записи Trojan.Mayachok.2, хотя все оставшиеся дропперы и дампы их VBR были мной отправлены ещё вчера в вируслаб Dr.Web.

https://www.virustotal.com/file/6a536a0bb1e...9a2fd/analysis/

-----------------------------------------------------------------------------Start scanning-----------------------------------------------------------------------------Limit the use of the processor to 50%Object(s) to scan:- F:\Virtualbox_share\xx\9\500\$Boot_2020.dmp- F:\Virtualbox_share\xx\9\500\$Boot_2030.dmp- F:\Virtualbox_share\xx\9\500\$Boot_3000.dmpF:\Virtualbox_share\xx\9\500\$Boot_2020.dmp - infected with Trojan.Mayachok.2F:\Virtualbox_share\xx\9\500\$Boot_2030.dmp - infected with Trojan.Mayachok.2F:\Virtualbox_share\xx\9\500\$Boot_2020.dmp - infected, incurable - 937ms, 8192 bytesF:\Virtualbox_share\xx\9\500\$Boot_2030.dmp - infected, incurable - 1007ms, 8192 bytesF:\Virtualbox_share\xx\9\500\$Boot_3000.dmp - Ok - 1405ms, 8192 bytes

post-270-1329157514_thumb.png

post-270-1329157573_thumb.png

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

RomaNNN    5

RomaNNN
Опубликовано

Насчет дампов я как раз разговариваю с аналитиком. Думаю, завтра будет все добавлено...

А с каким у DrWeb 7.0 возникли проблемы с лечением?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

K_Mikhail    807

K_Mikhail
Опубликовано
Насчет дампов я как раз разговариваю с аналитиком. Думаю, завтра будет все добавлено...

Я даже знаю кем именно.

А с каким у DrWeb 7.0 возникли проблемы с лечением?

Я подожду пока всё не будет корректно детектироваться, потом сам, если не будет лень и будет воспроизводиться, накатаю репорт.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

RomaNNN    5

RomaNNN
Опубликовано
Я подожду пока всё не будет корректно детектироваться, потом сам, если не будет лень и будет воспроизводиться, накатаю репорт.

Оставьте это мне :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

K_Mikhail    807

K_Mikhail
Опубликовано
Оставьте это мне :)

Та на здоровье и да пребудет с Вами кЭпочка. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

RomaNNN    5

RomaNNN
Опубликовано
Та на здоровье и да пребудет с Вами кЭпочка. :)

:P

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Dmitry Varshavsky    65

Dmitry Varshavsky
Опубликовано

С сегодняшними базами вышел детект бут-сектора семейства Mayachok ( Rootlit.Boot.Cidox.B )

Чуть подробнее тут: http://virusblokada.blog.tut.by/2012/02/14...achok/#more-287

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

RomaNNN    5

RomaNNN
Опубликовано

В DrWeb 7.0 добавлено лечение BOOT-секторов с перезагрузкой. :rolleyes:

Cure.png

Контрольный перескан:

1) 2020.exe

Дроппер

VBR

MBR

2) 2030.exe

Дроппер

VBR

MBR

3) 3000.exe

Дроппер

VBR

MBR

post-10714-1329243164_thumb.png

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Aleksandra    10

Aleksandra
Опубликовано
Знать бы еще, что за ключик такой... ^_^

Генерируется как и раньше в HKLM\Software\Classes\CLSID

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Vvvyg    12

Vvvyg
Опубликовано
вири часто палят именно VM, и не хотят её юзать.

Насколько я понял отсюда Studying Cidox, маячок детектирует виртуалки от VMware.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Юрий Паршин    330

Юрий Паршин
Опубликовано

Товарищи, не забывайте, что этот руткит работает и под x64. А там ситуация с лечением печальнее.

П.С. Если кто захочет проверить KIS 2012 и Cidox на x64, то для него нужно обновление антируткита (источник обновлений ftp://dnl-test.kaspersky-labs.com/test/tim2).

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Aleksandra    10

Aleksandra
Опубликовано
Насколько я понял отсюда Studying Cidox, маячок детектирует виртуалки от VMware.

Не, и там про первый вариант.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

K_Mikhail    807

K_Mikhail
Опубликовано
В DrWeb 7.0 добавлено лечение BOOT-секторов с перезагрузкой. :rolleyes:

MBR

А MBR здесь причём?

P.S. Я недаром же написал, что Вы прошли мимо истины. Хоть и близко. Хотя бы потому, что исправление пока находится в бете, ещё не выпущено в релиз. Ну, и есть пара моментов, о которых Вы, очевидно, не знаете.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Vvvyg    12

Vvvyg
Опубликовано
Не, и там про первый вариант.

Я правильно понимаю, что буткитный маячок имеет мало отношения к классическому, который в AppInit_DLLs прописывается?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Юрий Паршин    330

Юрий Паршин
Опубликовано
А MBR здесь причём?

P.S. Я недаром же написал, что Вы прошли мимо истины. Хоть и близко. Хотя бы потому, что исправление пока находится в бете, ещё не выпущено в релиз. Ну, и есть пара моментов, о которых Вы, очевидно, не знаете.

А исправление под x64 будет?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

K_Mikhail    807

K_Mikhail
Опубликовано
А исправление под x64 будет?

По х64 пока ничего сказать не могу. Сейчас сам ещё попробую посмотреть...

... Должно ж быть, по идее, если есть что исправлять.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

K_Mikhail    807

K_Mikhail
Опубликовано

Посмотрел х64 - пока всё плохо. После ребута VBR остаётся инфицированным. О чём уведомил разработчиков.

UPD TDSSKiller на х64 лечит корректно.

Скрины не делал - в одном случае лень, а в другом - не успеваю поймать момент, где пишет Cure error.

UPD 2 Ну, вот так разве что:

-----------------------------------------------------------------------------Start curing-----------------------------------------------------------------------------Active OS/2 or NT Boot Sector HDD0 Partition1 - incurableHDD0 Active OS/2 or WinNT Boot Sector - infected, write error

Похоже, даёт о себе знать IRP хук, о котором Юрий говорил...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

KIS_fan    17

KIS_fan
Опубликовано
Товарищи, не забывайте, что этот руткит работает и под x64. А там ситуация с лечением печальнее.

П.С. Если кто захочет проверить KIS 2012 и Cidox на x64, то для него нужно обновление антируткита (источник обновлений ftp://dnl-test.kaspersky-labs.com/test/tim2.

А что обновление ещё в общие базы не вышло ?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

sww    486

sww
Опубликовано
А что обновление ещё в общие базы не вышло ?

Нам страшно :rolleyes:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

StamilT    15

StamilT
Опубликовано
Я правильно понимаю, что буткитный маячок имеет мало отношения к классическому, который в AppInit_DLLs прописывается?

Да. Там dll'ка загружается в пространство каждого процесса и никакого заражения VBR.

Некоторые вендоры даже дали разный детект для Маячка.1 и Маячка.2

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Юрий Паршин    330

Юрий Паршин
Опубликовано
А что обновление ещё в общие базы не вышло ?

По данной ссылке - обновление антируткита, детект и лечение Cidox-а в общих базах еще с субботы.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

sww    486

sww
Опубликовано
По данной ссылке - обновление антируткита, детект и лечение Cidox-а в общих базах еще с субботы.

А, да-да, я значит про другое обновление ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано
А, да-да, я значит про другое обновление ;)

А точно в том "обновлении" заявлено то, что действительно "обновилось"? :lol:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

StamilT    15

StamilT
Опубликовано

Это детект VBR :facepalm:

__________.png

post-16629-1329335051_thumb.png

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      Проблема оказалась в редакции windows, для home нужно дополнительно прописывать флаг в реестр, в RC4 теперь это делается автоматически.
        Добавил функцию для образов.

      ---------------------------------------------------------
       5.0.RC4
      ---------------------------------------------------------
      o Добавлена поддержка включения отслеживания командной строки процессов для "Home" редакций Windows.
        Теперь при включении отслеживания в лог печатается статус этой опции.

      o Функция "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом" теперь доступа и при работе с образом,
        если образ сделан при активном отслеживании процессов.

      o Исправлена критическая ошибка при создании файла описания для скопированного в Zoo большого текстового файла (vbs/cmd и т.д.).

       
    • santy
      uVS - Тестирование

      От santy · Опубликовано

      Привет. По 5.0 RC3 Это работает. (саму команду еще не проверил как работает). И в цепочку процесс укладывается, хотя цепочка достаточно запутана, но к сожалению, отслеживание командной строки не включилось по какой-то причине. Возможно потому что не был отключен антивирус MBAM.
       o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт: 
         "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
         Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс. Функция есть в истории процессов и задач, но работает видимо только из активной системы.                           DESKTOP-867G3VL_2025-07-15_20-59-13_v5.0.RC3.v x64.7z
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      Да, с этим файлом проблема, починю.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      В настройках добавить: Отправлять лог применения\выполнения скрипта на сервер\адресату. Уникальный идентификатор прописывается в скрипт при его генерации. т.е. Оператор не запрашивает результат выполнения скрипта у пользователя.    
    • Ego Dekker
      Актуальные версии антивируса 18-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 18.2.14.
×